CVE-2025-31486 in vite
Riassunto
di VulDB • 17/06/2026
Vite è un framework di tooling frontend per JavaScript. I contenuti di file arbitrari possono essere restituiti al browser. Aggiungendo ?.svg con ?.wasm?init o con l'intestazione sec-fetch-dest: script, è stato possibile bypassare la restrizione server.fs.deny. Questo bypass è possibile solo se il file è più piccolo di build.assetsInlineLimit (predefinito: 4 kB) e quando si utilizza Vite 6.0+. Sono interessati solo le applicazioni che espongono esplicitamente il server di sviluppo di Vite alla rete (utilizzando l'opzione --host o l'opzione di configurazione server.host). Questa vulnerabilità è risolta nelle versioni 4.5.12, 5.4.17, 6.0.14, 6.1.4 e 6.2.5.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.